前言：病毒檢測的兩大戰場
電腦病毒靜態潛伏於硬盤，活躍時駐留內存。因此檢測分為 硬盤靜態掃描 與 內存動態分析。鐵律：掃描硬盤前必須確保內存無毒，否則引導型/隱身型病毒會欺騙檢測工具（如 4096 病毒隱藏文件增長、DIR2 病毒隱藏自身代碼、巴基斯坦病毒偽裝正常引導扇區）。
構建純淨檢測環境
- 冷啟動乾淨 DOS 系統盤： 必須通過電源鍵冷啟動，而非 Ctrl+Alt+Del 熱啟動（部分病毒攔截鍵盤中斷駐留內存）。
- DOS 版本 ≥ 硬盤 DOS 版本： 確保能正確讀取硬盤分區。
- 含特殊驅動： 若硬盤用 DM/ADM、Stacker/DoubleSpace 壓縮，啟動盤須包含對應驅動並寫入
CONFIG.SYS，否則隱藏分區病毒漏檢。
四大核心檢測方法論
1. 完整性比對法—— 發現未知變異的基石
原理： 將被檢對象（引導扇區/文件）與乾淨備份逐字節比較。
- 工具：
DEBUG D 命令輸出代碼清單人工比對、DISKCOMP/COMP/PCTOOLS 自動比對。
- 優點：無需病毒庫，能發現零日/未知病毒；缺點：無法直接識別病毒類型，需結合分析法確認。
- 關鍵：備份必須在無毒環境製作，寫保護保存，標籤註明版本/日期。
2. 特征碼掃描法—— 主流殺毒引擎核心
原理： 病毒庫存儲經精心挑選的特征字節串，掃描引擎在文件/扇區中模式匹配。
- 組成：病毒代碼庫 + 掃描引擎。識別能力取決於庫的豐富度與更新速度。
- 特征串選擇嚴格：必須具代表性、區分變種、避免誤報正常程序。支持模糊字節（通配符）以應對多態加密。
- 國外稱此類產品為 Scanner。
3. 特征字識別法—— 輕量級高速識別
演進： 從特征串提取極少關鍵特征字組成特征字庫，無需串匹配，速度極快，適合大文件/全盤掃描。
- 關注病毒「程序活性」，誤報率極低。
- 使用方式同掃描法，同樣需持續擴充庫。
4. 反匯編分析法—— 專家級深度剖析
雙軌制：
- 靜態分析： 用 Debug/Proview 反匯編輸出清單，分析模塊劃分、系統調用、感染邏輯、提取特征碼、設計清除方案。
- 動態分析： 在受控隔離環境（專用測試機）用 Debug 單步跟蹤內存中病毒執行流程，驗證靜態分析推測。
鐵律： 分析工作必須在可犧牲數據的隔離機器上進行，防病毒分析過程中病毒繼續傳染破壞數據。
綜合建議：分層防御策略
| 場景 | 推薦方法組合 |
|---|
| 日常用戶全盤查殺 | 特征掃描 + 特征字識別（秒級完成） |
| 懷疑感染未知/新變種 | 完整性比對 + 靜態分析（需備份基線） |
| 應急響應/取證 | 動態分析（沙箱）+ 靜態分析 + 完整性比對 |
| 病毒庫建設 | 分析法提取特征 → 更新掃描庫/特征字庫 |
結語
沒有單一銀彈。普通用戶依賴自動更新的特征掃描；安全人員需掌握比對與分析法應對未知威脅；企業應建立「基線備份 → 定期比對 → 異常深度分析 → 更新特征庫」的閉環體系。